آموزش محدود کردن دفعات تلاش برای ورود در وردپرس
یکی از حملاتی که خصوصا جدیدا خیلی مشاهده میکنیم، حملات بروت فورس – Brute Force روی ناحیه کاربری/مدیریت وردپرس است. در این حمله، شخص حمله کننده با استفاده از یک نرم افزار و با وارد کردن تمامی ترکیب های امکان پذیر نام کاربری و رمز عبور و یا گاها با استفاده از نام کاربری ادمین و تست کردن تمامی ترکیبات ممکن برای رمز عبور، به ناحیه مدیریت وردپرس سایت شما دسترسی پیدا کند. این حمله از سه جهت مشکل ساز است. اول اینکه در صورتی که شما از نام های کاربری و رمز عبور های ساده استفاده کرده باشید، در مدت زمان کوتاهی، امکان دسترسی به بخش کاربری یا ناحیه مدیریت سایت شما برای شخص هکر فراهم میشود که بدیهی است این مسئله به هک شدن سایت یا سوء استفاده از آن منجر خواهد شد. دوم اینکه در اکثر هاستینگ ها در حال حاضر هر هاست دسترسی مشخصی به منابع سرور دارد. در این حالت وقتی سایت شما زیر حمله قرار میگیرد، مصرف منابع هم در آن خود به خود بالا میرود. بنابراین ممکن است بارگذاری سایتتان کند شود و از این جهت از نظر بازدیدکنندگان سایت دچار مشکل شوید. و مورد سوم هم دوباره به مورد دوم باز میگردد. وقتی مصرف سایت شما بیهوده بالا برود، شما هم مجبور خواهید بود هزینه ی بیشتری برای میزبانی سایت خود بپردازید. تمام این مسائل با یک پیشگیری ساده، کاملا قابل حل است. در آموزش امروز به همراه مسترکد می آموزیم که چگونه تعداد تلاش های ورود به وردپرس را محدود کنیم تا از این همه دردسر جلوگیری شود. با ما همراه باشید.
چگونه تعداد تلاش های ورود به وردپرس را محدود کنیم؟
برای این کار به افزونه ای با نام Login LockDown نیازی خواهیم داشت. پس پیش از هر کاری افزونه ی مورد نظر را بر روی سایت خود نصب و فعال کنید. اگر با چگونگی انجام این کار آشنا نیستید، ابتدا آموزش نصب و فعالسازی افزونه در وردپرس را مطالعه کنید.
پس از فعال کردن افزونه، جهت اعمال تنظیمات مناسب بر روی آن، از منوی تنظیمات به زیر منوی Login LockDown مراجعه کنید.
در بخش Max Login Retries میتوانید حداکثر دفعات تلاش برای ورود را وارد کنید.
در قسمت Retry Time Period Restriction باید مشخص کنید که اندازه گیری تعداد دفعات ورود در چه بازه ی زمانی صورت گیرد. مثلا وارد کردن عدد 5 در اینجا و عدد 3 در بخش Max Login Retries به معنای داشتن 3 ورود ناموفق طی 5 دقیقه خواهد بود.
در بخش Lockout Length باید طول زمان بلاک شدن IP که از شرایط فوق پیروی کرده باشد را وارد کنید. مثلا وارد کردن عدد 60 منجر به 60 دقیقه بلاک شدن آی پی مورد نظر میشود. نکته ی جالب در مورد حملات بروت فورس اتوماتیک این است که به محض اینکه نرم افزار برای چند دقیقه نتواند به سایت دسترسی داشته باشد، عموما حتی پس از باز شدن آی پی نیز مجددا برای ورود تلاش نخواهد کرد.
با استفاده از تنظیم Lockout Invalid Usernames میتوانید تلاش هایی که از نام های کاربری که در سیستم موجود نباشند، استفاده کنند را نیز بلاک کنید. در این حالت شخصی که سعی دارد با حدس زدن یک نام کاربری به سیستم وارد شود، به سادگی توسط نرم افزار شناسایی و بلاک خواهد شد.
در پایان هم با تنظیم بسیار خوب Mask Login Errors میتوانید کاری کنید که خطاهای ورود در هنگام تلاش های ناموفق ورود، در سایت به نمایش در نیایند. این چه کمکی به شما میکند؟ وردپرس عزیز در عین خوشمزگی گاهی وقت ها با این خطا ها، خیلی خوب به حمله کننده توضیح میدهد که مثلا نام کاربری اش صحیح است ولی رمزش اشتباه است. یا این نام کاربری در سیستم وجود ندارد و … وقتی حمله کننده، خطا های تولید شده را مشاهده نکند، کارش هم برای ورود سخت تر خواهد شد چرا که نمیتواند حدس بزند در ترکیب وارد شده، نام کاربری اشتباه بوده و یا رمز عبور.
در پایان ذخیره ی تنظیمات فراموش نشود.
لطفا یکمی هم حواستان باشد که اشتباها با ورود اطلاعات اشتباه جهت وارد شدن به ناحیه مدیریت، خودتان را بلاک نکنید!
البته قبلا در آموزش تنظیمات افزونه ی iThemes Security هم چنین آپشن هایی داشتیم. اما لازم دیدیم برای کسانی که میخواهند چنین امکاناتی را در یک افزونه ی کوچک که به صورت انحصاری برای محدود کردن تلاش های ورود به وردپرس ایجاد شده، در اختیار داشته باشند، این آموزش را هم برای شما در سایت درج کنیم و امیدواریم که این آموزش برای شما سودمند بوده باشد.
